Резервни копия, устойчиви на ransomware

Модул 6: Резервни копия · Време за четене: 10 минути

Учебна цел: След този урок ще можете да изградите резервно копие, което нападателят не може да шифрова или изтрие, като изберете офлайн копие, неизменяемо (immutable) съхранение, версии с подходящ срок на съхранение и отделен достъп за резервното копие.
Основни понятия: офлайн резервно копие, air gap, неизменяемост (immutable), object lock, версиониране, отделен достъп за резервното копие, срок на съхранение

Защо обикновеното резервно копие често не е достатъчно

В урок 1.3 видяхте как действа ransomware: някой влиза в системата, оглежда се и след това наведнъж шифрова всичко, до което може да достигне. „Всичко, до което може да достигне“ е основният проблем. Ако Вашето резервно копие се намира на мрежов диск, който винаги е свързан с компютъра Ви като буква на устройство, за ransomware то е просто поредната папка с файлове. Ще бъде шифровано точно толкова лесно, колкото и оригиналът.

Американската агенция за киберсигурност CISA пише в своето ръководство за ransomware, че много видове ransomware активно търсят достъпни резервни копия, за да ги изтрият или шифроват. Нападател, който притежава Вашия администраторски акаунт, освен това може да влезе в програмата или облачната услуга за резервни копия и да изтрие резервните копия там. Затова устойчивото на ransomware резервно копие изисква повече от просто „има копие“. То трябва да е извън обсега на всеки, който е превзел Вашия компютър или акаунт.

Съществуват три начина за това и най-добре е да ги комбинирате:

1. резервното копие не е свързано (офлайн);
2. резервното копие не може да бъде променено или изтрито, дори от администратор (неизменяемо);
3. резервното копие се намира зад отделен достъп, различен от този за Вашата ежедневна работа.

Офлайн: дискът в чекмеджето

Едно офлайн резервно копие е копие, което след създаването му се изключва физически. Външен диск, който изваждате от лаптопа след създаването на резервно копие и прибирате в чекмедже или сейф, е най-простият пример. Ransomware може да шифрова само това, до което има достъп, а диск в чекмедже не е достъпен. Английският термин е air gap: буквално има „въздушна пролука“ между резервното копие и Вашата мрежа.

Нидерландският NCSC дава същия съвет: не дръжте резервното копие свързано с компютъра, защото иначе ransomware може да го шифрова заедно с останалото.

Капани при офлайн резервните копия:

• Забравяне. Резервно копие, което правите ръчно, се пропуска след няколко натоварени седмици. Определете фиксиран ден в календара си и редувайте два диска, така че винаги да има един извън офиса.
• Оставяне постоянно свързан. Диск, който остава включен „за удобство“, вече не е офлайн резервно копие.
• Липса на шифроване. Отделен диск с цялата Ви документация е нарушение на сигурността на данните, ако бъде откраднат. Включете шифроване (вижте урок 5.2) и съхранявайте ключа на различно място от диска.

Неизменяемост: immutable и object lock

Едно неизменяемо резервно копие (на английски: immutable) не може да бъде променено или изтрито от никого през определен период. Дори не и от някой, който притежава Вашата парола. Дори не и от администратора.

При облачно съхранение тази технология често се нарича object lock. Документацията на един голям доставчик я описва като write once, read many: записвате файла веднъж, след което можете само да го четете до изтичането на срока на съхранение. Обикновено има два режима:

Много програми и услуги за резервни копия предлагат неизменяемо съхранение, под имена като „immutable back-up“, „заключено резервно копие“ или „WORM“. При избора обърнете внимание на три неща:

• Колко дълго е заключването? Заключване от 7 дни не Ви защитава, ако откриете атаката едва след три седмици.
• Кой може да премахне заключването? Ако това може да стане със същия акаунт, с който влизате ежедневно, може и нападателят.
• Каква е цената? Неизменяемостта означава също, че не можете да изчиствате данните. CISA предупреждава, че грешна настройка може да доведе до високи разходи. Започнете с малко и тествайте.

Версии и срок на съхранение: колко назад във времето можете да се върнете?

Резервно копие от вчера помага само ако вчера всичко все още е било наред. Понякога ransomware изчаква известно време, преди да нанесе удар, а грешка (изтрита папка, презаписан ценоразпис) понякога забелязвате едва седмици по-късно. Затова са Ви нужни версии: няколко momента на резервно копиране едновременно. Срокът на съхранение (наричан още ретенция) определя докъде назад можете да се върнете. Нидерландският NCSC го описва така: ретенцията показва докъде назад можете да се върнете в историята на едно резервно копие.

Често използван модел е постепенно разреждане: всеки ден резервно копие, което съхранявате няколко седмици, всяка седмица едно, което съхранявате няколко месеца, и всеки месец едно, което съхранявате по-дълго. Така можете да се върнете далеч назад без стотици пълни копия.

Въпроси, които да Ви помогнат да изберете срок на съхранение:

• Колко бързо обикновено забелязвате, че нещо не е наред? Погледнете минали грешки.
• Има ли законови задължения за съхранение, например за Вашата счетоводна документация? Резервното копие не е същото като архив: архивът се съхранява с години на фиксирано място, резервното копие се ротира.
• Колко струва съхранението? По-дългото съхранение струва повече.

Отделен достъп за резервното копие

Третата мярка е най-евтината и най-често забравяната. Ако Вашата услуга за резервни копия, облачното съхранение и пощата работят с един и същ акаунт, и този акаунт бъде превзет (урок 1.4), нападателят получава всичко наведнъж.

• Използвайте за услугата или програмата за резервни копия собствен акаунт със собствена, уникална парола от Вашия мениджър на пароли, и включете двуфакторно удостоверяване.
• Не използвайте този акаунт за ежедневна работа и не влизайте с него на компютъра, от който проверявате пощата и сърфирате.
• Там, където е възможно, оставете програмата за резервни копия само да записва на мястото за съхранение, без да може да изтрива.
• Определете кой има достъп, както физически (кой има ключ от шкафа с диска), така и в софтуера. Нидерландският NCSC също изрично посочва това.

На практика: ето как изглежда

При примерния доставчик WebOké нощните резервни копия на хостинг пакет се съхраняват на отделни сторидж сървъри в друг център за данни, отделно от сървъра, на който работи уебсайтът. Според базата знания не можете сами да изтриете тези нощни резервни копия: те остават, за да има винаги точка за възстановяване, и изчезват автоматично след 30 дни. Само допълнително резервно копие, което сте направили сами, може да бъде изтрито, а за това панелът изисква Вашата парола.

Това, което сами добавяте, за да постигнете правилото 3-2-1 и офлайн копието: сваляте от време на време резервно копие (то остава налично за изтегляне 48 часа) и го съхранявате на диск, който след това изключвате. Снапшот на VPS, според същата база знания, изрично не е резервно копие, защото се намира на същото съхранение като самия VPS.

При други доставчици може да е подобно или съвсем различно. Попитайте конкретно Вашия доставчик: резервните копия отделени ли са от моя акаунт, мога ли аз или някой с моята парола да ги изтрие, и докъде назад във времето стигат?

Обобщение

• Ransomware шифрова всичко, до което достига, включително свързани резервни копия, а нападателите активно търсят резервни копия.
• Офлайн: изключете диска за резервни копия и редувайте дискове, с шифроване.
• Неизменяемост (immutable, object lock): никой не може да изтрие копието, докато срокът не изтече.
• Версиите и подходящият срок на съхранение определят докъде назад можете да се върнете; изберете ги според това колко бързо обикновено забелязвате проблеми.
• Използвайте отделен, добре защитен достъп за резервното копие, различен от ежедневния Ви акаунт.

Тест

Задача

Задача D6.2: Направете едно резервно копие устойчиво на ransomware. Изберете най-важните си данни (например Вашата счетоводна документация или уебсайта си) и организирайте едно копие, което е извън обсега: външен диск, който изключвате и съхранявате другаде след резервното копиране, или услуга за резервни копия с неизменяемо съхранение. Дайте на резервното копие собствен достъп с двуфакторно удостоверяване, проверете докъде назад можете да се върнете и отбележете кой има достъп. Накрая отговорете на въпросите за размисъл.

За допълнително четене

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици може да работи подобно или различно. Попитайте Вашия доставчик.

• Ръководство за DirectAdmin 16.2: Backup and Restore: самостоятелно създаване на резервно копие в DirectAdmin
• Nextcloud наръчник 6.2: Връщане на по-стара версия и наименуване на версии
• Nextcloud наръчник 6.3: Колко дълго съхранява Nextcloud версиите и изтритите файлове?
• Снапшоти и резервни копия на VPS
• WebOké Backups: преглед, възстановяване или изтегляне на резервно копие
• Нидерландският NCSC, Ransomware обяснено: https://www.ncsc.nl/ransomware/ransomware-uitgelegd
• Нидерландският NCSC, Изготвяне на стратегия за резервни копия: https://www.ncsc.nl/back-up/een-back-up-strategie-opstellen
• CISA, #StopRansomware Guide (на английски): https://www.cisa.gov/stopransomware/ransomware-guide